Anzeige

Anzeige

VERANSTALTUNGEN

Be CIO Summit
26.09.19 - 26.09.19
In Design Offices Frankfurt Wiesenhüttenplatz, Frankfurt am Main

3. DIGITAL MARKETING 4HEROES CONFERENCE
08.10.19 - 08.10.19
In Wien

it-sa 2019
08.10.19 - 10.10.19
In Nürnberg, Messezentrum

3. DIGITAL MARKETING 4HEROES CONFERENCE
15.10.19 - 15.10.19
In München

PM Forum 2019
22.10.19 - 23.10.19
In Nürnberg, NCC Ost

Anzeige

Anzeige

Hacker E-Mail Login

Haben Sie einen genauen Überblick darüber, wie viele E-Mail-Adressen auf Ihren Namen angemeldet sind? Viele von uns sammeln über die Jahre, beruflich wie privat, eine ganze Reihe von Adressen, nutzen aber etliche von ihnen nicht mehr. Insbesondere von abgelegten und erneut vergebenen kostenlosen E-Mail-Adressen geht ein enorm großes Risiko für Verbraucher aus.

Tatort: Internet, Verbrechen: Identitätsdiebstahl. Der beliebte Schauspieler und Münsteraner Tatort-Kommissar Axel Prahl kennt diesen Tatbestand – und zwar ganz real und aus der Perspektive des Opfers. Wie aktuell bekannt wurde, hat ein Betrüger die digitale Identität des Tatort-Stars gestohlen und kauft seitdem auf großem Fuß online auf dessen Kosten ein. Treffen kann dieses Szenario beinahe jeden E-Mail-Nutzer. Wissenschaftler des Fraunhofer-Instituts für Kommunikation, Informationsverarbeitung und Ergonomie FKIE, der Rheinischen Friedrich-Wilhelms-Universität Bonn und der Technischen Universität Graz haben jetzt offengelegt, dass das Risiko, das insbesondere von abgelegten und erneut vergebenen kostenlosen E-Mail-Adressen ausgeht, für Verbraucher enorm groß ist.

Im Internet symbolisiert unsere E-Mail-Adresse unsere Identität. Mit ihr authentifizieren wir uns in Onlineshops, Social-Media-Kanälen und bei Webdiensten. Haben wir das Passwort vergessen, lassen wir uns dorthin ein neues zusenden. Alles ganz einfach, aber bei weitem nicht risikofrei. Im Gegenteil. Viele von uns sammeln im Laufe der Zeit zudem, privat wie beruflich, eine ganze Reihe von E-Mail-Adressen und geben diese beizeiten wieder zurück. Manchmal auch nicht ganz freiwillig, denn einige Anbieter kostenloser E-Mail-Adressen, sog. FreeMail Provider, geben die bei ihnen angemeldeten Adressen nach einem bestimmten Zeitraum ihrer Nichtnutzung wieder frei und vergeben sie erneut. Je nachdem, wie lange der betreffende Account zu diesem Zeitpunkt bereits brachliegt, bekommt der vorherige Adressinhaber davon unter Umständen nicht einmal etwas mit.

Problematisch hierbei ist, dass genau diese Adressen Angreifern leichtes Spiel bieten, um an sensible Daten ihrer Vorbesitzer, wie zum Beispiel Bankdaten, zu gelangen und diese für kriminelle Machenschaften zu nutzen. »Denn welcher Nutzer hat schon einen vollständigen Überblick darüber, mit welchen Daten er über seine E-Mail-Adresse wo angemeldet ist? Und wer kann somit schon lückenlos Sorge dafür tragen, dass auch jeder jemals auf die abgelegte E-Mail-Adresse angemeldete Webdienst auf die neue Adresse umgestellt oder gekündigt wird«, erläutert Matthias Wübbeling, IT-Sicherheitsexperte und Wissenschaftler am Fraunhofer-Institut für Kommunikation, Informationsverarbeitung und Ergonomie FKIE in Bonn. Dies aber stelle eine Sicherheitslücke dar, die sich Angreifer zunutze machen.

Im Rahmen einer Sicherheitskonferenz Anfang Juli 2017 in Bonn sei er mit Kollegen von der Technischen Universität Graz über dieses Thema ins Gespräch gekommen, berichtet Wübbeling. Gemeinsam stellten die Wissenschaftler fest, dass sie an thematisch verwandten Fragestellungen forschen und dass eine Bündelung der Kräfte Aufschluss über die Reich- und Tragweite des soeben diskutierten Problems geben könnte. Das so aus purem Forscherinteresse heraus geborene Projekt wurde jetzt mit der Veröffentlichung eines Berichts unter dem Titel »Use-After-FreeMail: Generalizing the Use-After-Free Problem and Applying it to Email Services« abgeschlossen. Dieser wird auf der 13. ACM Asia Conference on Computer & Communications Security 2018, die vom 4. bis 8. Juni in Korea stattfindet, vorgestellt.

Die Bezeichnung »Use-After-FreeMail« ist dabei ein Wortspiel, das sich die Wissenschaftler zunutze machen. Denn der Begriff »Use-After-Free« stammt eigentlich aus dem Programmierungsbereich. Auf das Szenario der FreeMails übertragen steht es für die Problematik zu früh freigegebener E-Mail-Adressen und sich daraus ergebender Sicherheitslücken und Angriffsmöglichkeiten. Und die sind nach Erkenntnis der Forscher enorm groß und bislang ungelöst: So ergab die Auswertung eines bereits vorliegenden Datenbestands an FreeMail-Adressen, dass rund 33,5 Prozent von ihnen nicht mehr gültig sind. Weit mehr als bestätigt wurde dieses Ergebnis durch eine im Rahmen des Projekts durchgeführte Nutzerstudie, bei der sogar rund 60 Prozent der Teilnehmer angaben, über eine E-Mail-Adresse zu verfügen, die sie aktuell nicht mehr nutzen. Ein Testangriff auf diese war in 18 Prozent der Fälle erfolgreich.

Diese und weitere Ergebnisse haben die Forscher den wichtigsten FreeMail Providern mitgeteilt – zusammen mit Empfehlungen, wie sie ihre Kunden und Kundendaten künftig besser schützen können. Eine wichtige und sehr wirksame Möglichkeit lebt beispielsweise Google vor: Der Konzern vergibt E-Mail-Adressen grundsätzlich nur ein einziges Mal, anschließend sind sie nie wieder erhältlich. Eine weitere effektive Schutzmaßnahme stellt die Zwei-Faktor-Authentifizierung dar. Die ist zwar schon lange bekannt, wird in der Praxis jedoch kaum angewandt. Sicherheitsexperte Wübbeling: »Letztlich ist das ›Use-After-FreeMail‹-Szenario nur eines von vielen. Es lässt sich auf etliche andere Bereiche, wie beispielsweise auf abgelegte Mobilfunknummern oder Kfz-Kennzeichen, übertragen. Angriffe kommen auch hier vor. Für die Einführung geeigneter Schutzmaßnahmen besteht daher dringender Handlungsbedarf.«

www.fkie.fraunhofer.de
 

GRID LIST
DDOS Attack

DDoS-Angriffe nehmen weiter Fahrt auf

DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und…
Marc Schieder

Patientendaten jahrelang einsehbar: Ein Warnschuss für den Healthcare-Bereich?

Laut Recherchen des Bayerischen Rundfunks und der US-Investigativplattform ProPublica…
KI Cybersecurity

KI in der Cybersicherheit

Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark…
Malware

Malware im August 2019 – König Emotet gestürzt

Check Point Research bestätigt mit dem Global Threat Index für August 2019 die Ergebnisse…
Passwörter

Sichere Passwörter – so geht’s

E-Mail-Postfächer, Soziale Netzwerke oder Online-Shops - für jedes Konto benötigen wir…
QR Code

Braucht die beliebte Pixel-Matrix ein neues Sicherheitskonzept?

QR-Codes gibt es seit 1994, doch ihr Entwickler ist besorgt und der Meinung, dass sie ein…